子进程流量单独抓配方

👶 主进程抓不到的 :service/:push 子进程流量，单独 attach 抓。

思路

r0capture 暂不支持 Child-gating 跟随子进程。但可单独 attach 子进程名抓。

步骤

1. 查所有子进程

adb shell ps | grep com.app
# u0_a123 1234 ... com.app
# u0_a123 1235 ... com.app:service
# u0_a123 1236 ... com.app:push

2. attach 子进程

子进程名形如 包名:service，用 frida-ps -U 查显示名，或直接用 PID：

# 用 PID(最准)
python3 r0capture.py -U 1235 -v -p service.pcap

# 或用 frida-ps 显示的子进程名
python3 r0capture.py -U "酷安:push" -v -p push.pcap

3. 多开实例分别抓

主进程 + 各子进程分别开 r0capture 实例，输出不同 pcap：

# 终端1
python3 r0capture.py -U 1234 -v -p main.pcap
# 终端2
python3 r0capture.py -U 1235 -v -p service.pcap

注意

• 子进程可能随时被杀/重启，attach 会断
• spawn 只能 spawn 主进程（包名），不能 spawn 子进程
• 多实例日志文件名带进程名+时间戳，不冲突

相关文档

• 多进程限制
• Child-gating
• <进程名 | PID> 参数